|
|
|
WMIACPI.SYS
7 x" s6 @4 ], G: y# q/ @" }1. WMI Concept$ e9 [3 b. u# \5 ?
# @6 S+ W2 I( x1 M: C& L
WMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。
' O' Q0 Y5 z: i; O1 D: p3 Y. ^" M/ B8 {5 [( a6 k$ Y+ H( {
$ F# E; F& L, N
2. WMIACPI.SYS
1 F7 {6 U3 W4 V/ x& B$ T- P" y
, Y% p. M# i6 e, EWmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：
. r4 k1 }$ L9 O5 } I( aA．Acpi.sys( W. t) o! X7 w; C |' v& @
B．Wmiacpi.sys. Q6 V3 F8 a3 M/ c
A).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。/ J" c9 K y/ [$ k, V
B).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：, ~" T2 V- N( O3 @) |
% g8 t& I+ F8 l; t" r, z. f$ J; ~' T1 W7 }7 d* L
7 a1 o( S) @. i* A3 r7 X% U: `3 v
当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。5 g0 E; g6 S Z* x
0 X1 H5 j1 l. [+ N0 b, p3. Under the hood
& r, _& Q' W8 n! ^
+ a. m0 n4 G" |0 G6 X. s$ F( n9 ^* L6 U前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：
# ?& A' O/ o. U8 p, t4 a2 _& I4 K* v1 M5 G i+ ?! c n9 m
( X# F: w: s& o( r; ~
* O7 Q6 H' s2 g+ S" _: {
图 2
3 G0 `7 B1 d1 B t4 l# U图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。" a$ X0 Y7 X' o8 [. C
8 |7 F3 U. [. ]9 u: _0 W X$ H
7 P: m% }* @+ M; y图3
# F/ W5 S0 D* B8 Y1 c1 Y由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。
p+ z# x# L; w3 ^6 P5 L5 y4 U4 F, E/ O5 L
3 ?' p9 B; m0 }) y0 M" ^% k1 ?1 u; u: K
图4 , y# N) _0 X/ ]$ J
前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：
+ K# X) z% \; U- c5 E1 }
4 c; w0 E8 V+ p0 {% }3 [, x1 E: Y/ d; A# E1 c: y/ D8 i" b
图5
% U$ X" l1 i4 ~5 Y* Q4 J! k: D9 ^经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示：2 M) o& Y3 r o* |- S3 k4 r) \
5 ?; d+ h) o; L
: Y% Y7 i* Y. x! `9 z7 ?2 B
图6
5 H" ^" J, f. Q9 ^3 e如图所示：
1 k( `9 l6 U# E3 v0 u! D7 p3 Y1 s7 B8 u) Q4 C5 E" u- L1 v" y- v
wmiacpi!WmiAcpiSetWmiDataItem4 ]- `) H+ ?/ H8 P3 E: D1 L
7 ]# v7 B! R/ B3 B& Z" t9 w
wmiacpi!WmiAcpiSetWmiDataBlock
5 b4 @' L! I6 _0 f
, T( G+ ~6 L5 X X( lwmiacpi!WmiFireEvent
- c5 j, \9 b1 p
6 V: u: T& Z# l5 R9 d( v9 lwmiacpi!WmiAcpiQueryWmiDataBlock* [- U X4 t4 G: ~& g
1 {* g/ @4 o' H# Uwmiacpi!WmiAcpiSendAsyncDownStreamIrp
; I* ?1 X& ^. G2 L& Z [4 I% ?8 P( V# Z3 j$ L3 k. J
wmiacpi!WmiSystemControl
% V$ s$ ?- t6 i
) l4 V- h3 G( T2 L6 Y, {/ s- Mwmiacpi!WmiAcpiSystemControlDispatch9 Y D& j+ L; f% a
- ^, G5 O1 Y ?
acpi!ACPIIoctlEvalControlMethod5 W( \9 O+ g9 U h- `
3 C- J% Y! Y: K
acpi!ACPIIoctlAsyncEvalControlMethod
. y6 x1 z4 P$ V3 ]! F# ~: }5 V* f9 d
7 n9 M: G+ c9 h! l# B2 Tacpi!ACPIIoctlAsyncEvalControlMethodEx I) w- P7 P+ Y# V& B
1 N6 p+ p2 w0 o8 H
acpi!ACPIIoctlEvalControlMethodEx$ H2 k% k) j+ C0 W
- j4 j7 k: i [# C3 n, B0 aacpi!ACPIButtonDeviceControl
. C- z: U% Q8 C3 ~% N
, |: ~2 n S5 gacpi!ACPIEcInternalControl
! T+ x% D& T& e6 T9 Q. B
_ n9 ~. W) h' Jacpi!AcpiEmbeddedControllerIrpDispatch1 [0 ^' N1 y3 R+ | |1 T& |/ q) C
4 `# I7 A1 l$ \/ ?: T% kacpi!ACPIIrpDispatchDeviceControl2 r4 i" \& s' ^) {* G9 H
: p3 ]2 s& d0 j5 F: ~1 ~acpi!WmiSystemControl/ C) n7 c# {9 ^
+ x1 t9 J* k" d% C这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。( ~- m" _ x, Z
! \' B' J" v+ X' b% G# o4 { y
: W/ {: a2 @5 P1 L$ t/ @: R0 j0 f+ |* _7 m
. O. x; X' B7 E图7) s3 p+ F4 @6 ]# o! A
图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。( _. Y2 g' Y* d* X' ?# Q1 d+ R
8 O: T; e2 B% |) D9 k
/ i$ w2 S$ O" L+ W! w, `/ p6 P0 N8 j. p$ l4 P I
图8
2 d5 r; u8 w6 ^/ f3 Q3 v3 A以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。9 _# [6 e8 [6 Z/ i$ b
' B1 M. c4 d) r8 Y4 ~1 c- F
7 Y; p- b/ a5 W. ~) g a" N
# e5 G/ g% C7 M: Q图9 L- v6 I4 U6 T! V. d }2 O& X
That’s all!0 j$ h. f0 {% w6 _2 F
Peter ( t/ k, V! H" Z$ |. R$ j" S
; O) Y) G5 z& o* p! c& W4 A[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|
IP卡
狗仔卡
发表于 2009-5-22 17:14:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
发表于 2009-5-22 20:27:37
9 ^" F) q, r, S' M5 C
今天我再试试也许就出来了